EPDK tarafından kritik altyapı olarak belirlenen kuruluşların endüstriyel kontrol sistemlerinde (EKS) kullanılan bilişim sistemlerinin güvenliği ve güvenilirliğinin sağlanması için risklerin değerlendirilerek azaltılması veya ortadan kaldırılması gerekmektedir. EPDK bilişim güvenliğini sağlamak için bir düzenlemeye gitmiş ve Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemlerinde Bilişim Güvenliği Yönetmeliği çıkarmıştır.
Kritik altyapılar, işlevlerini kısmen veya tamamen yerine getiremediğinde, toplumsal düzeni bozacak ve/veya kamu hizmetlerinin sunumunun olumsuz etkileyecek olan enerji ağıdır.
Bu kuruluşlar; elektrik iletim lisansı sahibi, OSB dağıtım lisansı sahipleri hariç olmak üzere elektrik dağıtım lisansı sahibi, OSB üretim lisansı sahibi hariç olmak üzere geçici kabulü yapılmış ve işletmedeki kurulu gücü 100 MWe ve üzeri lisansa sahip her bir elektrik üretim tesisi sahibi, boru hattı ile iletim yapan doğal gaz iletim lisansı sahibi, sevkiyat kontrol merkezi kurmakla yükümlü doğal gaz dağıtım lisansı sahibi, doğal gaz depolama lisansı sahibi (LNG, yer altı depolama), ham petrol iletim lisansı sahibi ile rafinerici lisansı sahibi tüzel kişilerden oluşur.
Bu kuruluşların Kurum tarafından EKS tanıma formu doldurmaları EPDK tarafından istenildiğinde EPDK’ya verme yükümlülükleri vardır ayrıca kuruluşların EKS’lere yönelik risklerinin tespiti için yaptırdıkları güvenlik analizi ve testlerinin sonuçlarını bildirmeleri gerekmektedir.
EPDK tarafından belirlenen ve bu kuruluşların kendilerinin belirlediği risklerde hangilerinin azaltılması gerektiğine, hangilerinin ise kabul edildiğine kuruluş karar verir. Azaltılması kararlaştırılan riskler için kuruluşun sorumluluğunda olacak risk azaltıcı hareketlerin olduğu bir tedavi planı oluşturulur. Kuruluş EPDK tarafından belirlenen riskler ile kendi belirlediği risklerin yılda bir kez değerlendirilmesini sağlamakla yükümlüdür. Kurum risk tedavi planını hazırlar ve altı ayda bir risk tedavi planının güncellenmesini içeren çalışma yapar. Aynı zamanda risklerin gerçekleşme olasılığına göre önceliklendirilmesini ve yüksek dereceli risklerin öncelikle tedavi edilmesini sağlar,
EPDK, bu kuruluşların yükümlülüklerini yerine getirip getirmediğini re’sen veya şikâyet üzerine denetler. Yerine getirilmemiş yükümlülükler hakkında EPDK idari yaptırım ve ceza uygulamaktadır.